Cryptographie et transactions électroniques.

· CHAPITRE II.
LA PROTECTION DE LA VIE PRIVEE

Le commerce électronique soulève de nombreuses questions en matière de respect de la vie privée. La crainte de voir ses informations personnelles utilisées à mauvais escient constitue un frein à la croissance du commerce électronique^38(*).

Dans la majorité des cas, les technologies mises en oeuvre pour la protection de la vie privée sur Internet utilisent le chiffrement. Une petite connaissance des techniques est nécessaire à leur exploitation ; il est évident que, dans la société de l'information, la connaissance devient indispensable. Par ailleurs, le droit s'avère indispensable s'agissant de la protection de la vie privée.

Les techniques et les règles de droits qui existent protègent aussi bien les données transmises (volontairement) par le réseau (Section I), que celles stockées sur un terminal connecté au réseau (Section II).

Section I - La protection des données personnelles lors de leur transmission par le réseau

La vie privée du consommateur est exposée chaque fois qu'il navigue sur Internet. Ses données personnelles peuvent être collectées, à son insu, par des personnes plus ou moins dangereuses. Il peut s'agir de ses habitudes et préférences sur le réseau, de son identité, ou même du contenu de ses messages.

Le commerce électronique soulève de nouvelles préoccupations par rapport à la vie privée parce que la portée et la précision des données personnelles rassemblées sur les consommateurs dépassent de loin le cadre général des informations rassemblées dans l'environnement traditionnel hors ligne. La précision des informations collectées permet aux entreprises d'établir un profil du consommateur (A). Plus grave encore, certaines entreprises ou individus n'hésitent pas à s'introduire dans la vie privée des consommateurs, soit par l'interception du contenu de leurs messages, soit par le biais de messages non sollicités (B).

· Paragraphe I - Le profilage sur le réseau

Grâce à l'Internet, les entreprises peuvent collecter, analyser et traiter avec précisions les informations personnelles de leurs clients, et ceci plus facilement et plus efficacement, que jamais auparavant. Cela ouvre de grandes perspectives en ce qui concerne le stockage, la comparaison et le couplage des données pour dresser le profil détaillé du client. Si la manière dont les entreprises utilisent les données personnelles a toujours été inquiétante (B), elle l'est d'autant plus aujourd'hui que l'Internet facilite la collecte et la manipulation de ces informations (A).

· A - La collecte des données personnelles

Les entreprises de commerce électronique se servent de méthodes diverses pour identifier le consommateur et suivre son cheminement dans le site. Actuellement, l'un des procédés les plus courants est la mise en place d'un cookie^39(*), petit fichier déposé par le site Web sur le disque dur de l'usager et contenant un code unique généré par le site Web. D'habitude composé d'une série de chiffres et de lettres qui ne sont intelligibles qu'au site, le code peut également inclure le nom du compte de l'usager et son mot de passe ou son adresse Internet.

Avec un peu d'expérience, on peut paramétrer notre navigateur pour qu'il trie les cookies et nous permettre de choisir quel cookie accepter ou non. Malheureusement, certains sites refusent l'accès ou s'affichent mal si on n'accepte pas tous les cookies.

Il appartient à l'internaute de faire son choix. Il faut quand même savoir que de nombreux sites commerciaux vendent les informations recueillies à des fins notamment publicitaires. On peut recevoir par la suite des courriers électroniques non sollicités. Il se pose donc la question de la légalité des cookies, qui constituent sans doute une atteinte à la vie privée. En revanche, les cookies de session (session cookies), qui servent à l'identification instantanée sur un site sont inoffensifs car ils ne se sauvegardent pas pas dans le disque dur.

La Directive du Parlement Européen et du Conseil du 12 juillet 2002 « vie privée et communications électroniques » s'appuie sur le fondement de la vie privée et règlemente l'usage des « cookies ». Elle pose dans son article 5.3, le principe selon lequel, dans le respect de la Directive 95/46/CE, le stockage d'information dans l'équipement terminal d'un internaute n'est possible qu'à la condition que celui-ci soit clairement et complètement informé quant à la finalité des cookies et qu'il ait le droit de refuser un tel traitement.

La directive consacre ainsi l'obligation d'information claire et complète de l'internaute sur l'utilisation d'un fichier cookie, ainsi que le droit de s'opposer de façon permanente ou temporaire à un tel traitement. C'est l'option d'adhésion (opt-in)^40(*). La directive précise cependant que « cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer ou à faciliter la transmission d'une communication par la voie d'un réseau de communications électroniques, ou strictement nécessaires à la fourniture d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur ». Par conséquent, cette obligation ne prend effet que lorsque l'utilisation de ces données se fait dans une optique de profilage à défaut lorsque l'objectif du dispositif de traitement est exclusivement technique, il échappe ainsi à la règlementation susvisée.

La directive 2002/22/CE « service universel »^41(*) a été transposée en droit français par le nouvel article 32 de la loi du 6 janvier 1978 informatique, fichiers et libertés^42(*), modifiée par la loi 2004-801 du 6 août 2004^43(*).

Le droit français tout comme le droit de l'Union Européenne consacre une obligation d'information préalable, claire et précise, quant à la finalité des cookies, visée à l'article 32.II de la loi de 1978, ainsi que le droit d'opposition consécutif « sans frais à ce que les données soit utilisées à des fins de prospection commerciale » (article 38 de cette même loi) qui s'exerce en effectuant des choix dans les logiciels de navigation.

Selon la Commission Nationale de l'Informatique et des Libertés (CNIL) en France, l'instrument de la régulation des cookies étant le navigateur, il incombe alors aux éditeurs de logiciels de navigation « tous américains » une obligation technique de permettre aux internautes de manifester leur consentement ou refus d'installation de fichier cookies sur leur équipement terminal. Il s'agit par conséquent de la mise en place d'un régime d'interdiction des cookies.

Si la collecte des données personnelles pose déjà un problème, l'utilisation que peuvent faire les entreprises de ces informations est encore plus inquiétante.

* 38 OCDE, 1999. Op. Cit. No 18, p. 164.

* 39 Crées à l'origine par la société Netscape, serveur et navigateur Internet, les cookies accroissent les capacités des sites Web de suivre le cheminement de l'usager lors de chacune de ses visites. Ils peuvent également notifier le site lorsque l'usager est de retour et ainsi permettre aux sites de suivre son cheminement lors de plusieurs visites.

* 40 Opt In (en français option d'adhésion) est un terme marketing ou légal pouvant concerner les adresses courriel, ou plus globalement les services informatiques.Une adresse courriel. Opt In active a fait l'objet d'un consentement préalable (case à cocher, défilement d'une liste déroulante...) du propriétaire, pour utilisation de cette adresse dans un cadre précis. Le consentement peut être obtenu par validation écrite ou électronique. Cf. http://fr.wikipedia.org/wiki/Opt_in

* 41 Directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques (directive "service universel"), Journal officiel n° L 108 du 24/04/2002 p. 0051 - 0077

* 42 Loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, JORF du 7 janvier 1978 p. 227

* 43 Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, JORF n°182 du 7 août 2004 p. 14063 texte n° 2